fix: 限制管理接口请求体大小与读取时间

docs/DEVIATIONS.md

@@ -890,6 +890,15 @@
    - 备选：无。  
    - 影响：无。
 
+### 复审修复 H-01
+
+- 日期：2026-09-30
+- 原条款：PRD §8 管理员登录防暴力；审查 #44。
+- 实际做法：`httpx.DecodeJSON` 内部 `MaxBytesReader` 1 MiB；`admin.Handler.ServeHTTP` 按路由限制（登录 8 KiB、导入 8 MiB、其余 1 MiB）并设读截止时间；超限 413 JSON `payload_too_large`。CSV 导入不再在 8 MiB 处静默截断。不在 listener 加全局 `ReadTimeout`。
+- 原因：公开登录接口与 JSON 解码原先不限大小。
+- 备选方案：登录 4 KiB（与注册一致）；未采用，8 KiB 对口令字段更宽裕。
+- 影响：超大请求快速失败；合法批量 JSON（约 200 KiB）仍低于 1 MiB。
+
 ## 后台网页 W
 
 1. **W1–W3 阶段使用内存假数据，不请求真实 `/api/admin`**